GPG加密与数字签名以及在Git 中使用GPG签名提交

在数字时代，信息安全成为了我们日常生活和工作的重要组成部分。从个人通信到企业数据保护，确保信息的机密性和完整性变得至关重要。GNU Privacy Guard（GPG）作为一种广泛使用的加密技术，提供了一个强大的工具来保护我们的数字信息。本文将探讨GPG的基本概念、它是如何工作的，以及如何在日常生活中应用GPG来加强信息安全。

GPG简介

GPG是一个基于OpenPGP标准的免费加密软件，旨在为通信和数据存储提供加密和数字签名服务。它允许用户加密数据，使之只能由指定的接收者解密，同时也能够对数据进行签名，确保数据的来源和完整性。日常应用中我们会用GPG进行加密文件传输，Git 中使用GPG签名提交，在Git中使用Git-Crypt结合GPG 加解密敏感信息。

加密与解密

GPG 是基于非对称加密技术。用户生成一对密钥：一个公钥和一个私钥。公钥可以安全地分享给任何人，用于加密信息；而私钥则必须严格保密，用于解密信息。在日常使用中，大部分用公钥加密，私钥解密。私钥数字签名，公钥验证数字签名。非对称加密中，私钥加密，公钥也是可以解开的，但用的不多，主要是私钥加密后公钥的持有者都可以看到，所以意义不大！工作中GPG 一个常见应用场景就是公司IT 部门会在员工加入公司的时候要求员工生成自己的GPG 公私钥并要求员工提供生成后的公钥，自己保管好私钥，IT 在给员工发送一些包含敏感信息的文件的之后都会用员工的公钥加密后发给员工，员工收到后用私钥解密文件，原始加密后的文件即使泄露出去，别人也解密不了数据，提高了敏感信息的安全性。

数字签名

除了加密，GPG还提供数字签名功能。通过使用私钥对信息进行签名，接收者可以用相应的公钥验证签名的真实性。这不仅证明了信息来源的可靠性，还确保了信息在传输过程中未被篡改。

软件签名

开源软件开发者常使用GPG对软件包进行签名，用户可以通过验证签名来确保软件包的真实性和完整性。这有助于防止恶意软件的传播。

安全通信

在需要保密的通信中，如记者与消息来源之间的沟通，使用GPG加密可以有效保护信息内容不被第三方截获。

如何开始使用GPG

开始使用GPG相对简单。首先，你需要安装GPG软件。对于大多数Linux发行版，GPG已预装在系统中。Windows和macOS用户可以分别从Gpg4win和GPG Suite获取GPG。

下载地址 https://www.gnupg.org/download/index.html ，可以根据自己的需要下载对应版本。

安装GPG后，你需要生成一对密钥，并将公钥分享给你想通信的人。然后，你就可以开始加密和签名你的信息了。

通过以下命令生成GPG 公私钥

gpg --full-generate-key

生成公私钥的过程中会弹出选项让你选择，根据自己的需要选择适当的选项。

第一步，选择密匙类型，默认一般选择第一个可以签名也可以加密，

Please select what kind of key you want:
   (1) RSA and RSA (default)
   (2) DSA and Elgamal
   (3) DSA (sign only)
   (4) RSA (sign only)
  (14) Existing key from card
Your selection?

第二步，选择密匙长度，一般至少2048，长度越长，解密难度越大，也就越安全

Please select what kind of key you want:
   (1) RSA and RSA (default)
   (2) DSA and Elgamal
   (3) DSA (sign only)
   (4) RSA (s